Security Advisories
Reale, von turingpoint entdeckte und verantwortungsvoll offengelegte Schwachstellen in weit verbreiteter Open-Source- und Unternehmenssoftware.
Security Research
Veröffentlichte Advisories
turingpoint betreibt aktive Sicherheitsforschung an weit verbreiteter Open-Source- und Unternehmenssoftware. Viele dieser Schwachstellen entstehen direkt während Penetrationstests bei unseren Kunden. Die folgenden Funde wurden von uns identifiziert, im Rahmen einer koordinierten Offenlegung mit den Herstellern abgestimmt und nach Bereitstellung eines Patches als CVE veröffentlicht. Sicherheitsforschung made in Germany.
Sortieren nach:
Produkt
CVE
Schwachstelle
CVSS
Advisory
- Collax Security GatewaybeantragtCSRF auf `rrd2csv.cgi` (`eval "require $plugin"`, kein CSRF-Token, kein SameSite) führt zu Codeausführung als `admin` und über setuid `suwrap` zu root8.3 · Hoch
- Collax Security GatewaybeantragtGespeichertes XSS: ein unauthentifizierter SMTP-Absender setzt einen Envelope-Absender, den der `Html`-Cell-Renderer der Held-Mail-Queue als innerHTML schreibt8.0 · Hoch
- Collax Security GatewaybeantragtGespeichertes XSS: ein Layer-2-Nachbar sendet ein LLDP-Frame, dessen typloses `<display>`-Feld im qooxdoo-Rich-Label als rohes innerHTML rendert7.4 · Hoch
- Collax Security GatewaybeantragtAnonymer Löschzugriff auf den 2FA-Token-Speicher über Pfad-Traversierung im Logout-Cookie (`->new(sprintf)` statt `->child`), plus Existenz-Orakel für beliebige Pfade7.3 · Hoch
- TeableCVE-2026-104100Pfad-Traversal im `hash`-Parameter der Attachment-Presign-API: ein selbst registriertes Konto schreibt und überschreibt beliebige Dateien im Container als root8.8 · Hoch
- Zammadnicht beantragtDie öffentliche GraphQL-Mutation `userSignup` übernimmt beliebige User-Spalten aus `objectAttributeValues`; ein anonymer Angreifer setzt `verified`, `organization_id` und `organization_ids` und liest die Tickets fremder Organisationen9.3 · Kritisch
- Zammadnicht beantragtEin Kunde setzt beim Anlegen eines Artikels `preferences.links` und `preferences.security`, die die Standard-Ticketansicht roh ausgibt; beim Öffnen des Tickets läuft JavaScript in der Sitzung des Agenten8.5 · Hoch
- Zammadnicht beantragt`CommonSelect.vue` maskiert das Autocomplete-Label nur, wenn es den Suchbegriff enthält, und `CommonSelectItem.vue` gibt es per `v-html` aus; ein anonym registrierter Vorname führt beim Suchen per E-Mail JavaScript beim Agenten aus8.6 · Hoch
- tinebeantragt`QuickLookHTMLPanel` bindet eine gespeicherte `text/html`-Datei in einen Rahmen gleicher Herkunft ohne `sandbox` ein; der Inline-Pfad verlangt nur `GRANT_READ` und sendet weder `nosniff` noch eine CSP, sodass das Skript den `jsonKey` des Opfers liest8.0 · Hoch
- tinebeantragtDer Export uebernimmt die Vorlage aus `options.template` und kompiliert sie in einer Twig-Umgebung ohne `SandboxExtension`; ueber das String-Callable-Muster in Twig 2 erreicht der Ausdruck `system()` als Anwendungsnutzer9.9 · Kritisch
- SOGobeantragtUnvollständiger Fix aus 5.12.10: Ort, Organisator, Antwortkommentar und zwei Attributwerte derselben Einladungskarte führen weiter Code in der Webmail-Sitzung aus9.6 · Kritisch
- Feathernicht beantragtBeliebiges Dateischreiben über den unbestätigten `feather://install/`-Deep-Link: die ungeprüfte Zip-Bibliothek lässt `../../`-Einträge `Documents/` und `Library/` überschreibenModerate
- AusweisAppCVE-2026-90848Reflected XSS über PAOS-Fehlermeldungen: Die `ResultMessage` eines bösartigen eID-Servers landet unmaskiert in der HTML-Fehlerseite des lokalen Aktivierungsdienstes und führt JavaScript im Origin `http://127.0.0.1:24727` aus5.3 · Mittel
- WordPress for Androidnicht beantragtDie App-eigene Berechtigung `DISABLE_NOTIFICATIONS` hat kein `protectionLevel` und fällt auf `normal`; jede danach installierte App erhält sie ohne Rückfrage und schaltet über den exportierten `JetpackAppInstallReceiver` die Benachrichtigungen der App ab5.1 · Mittel
- Mastodon iOSbeantragtOAuth-Bearer-Token des angemeldeten Kontos geht an einen angreiferkontrollierten Host, sobald die Teilen-Aktion "In Mastodon öffnen" eine gewöhnliche Webseite nicht als Mastodon-Objekt auflöst7.1 · Hoch
- Gardener Dashboardbeantragt`GET /auth/callback` liest State und PKCE-Pruefwert nur innerhalb von `if (cookie in req.cookies)`; fehlt das Cookie, entfaellt die Pruefung, und oauth4webapi deutet den undefinierten State als erwarte-keinen-State5.4 · Mittel
- VoidAuthbeantragt`POST /api/interaction/totp` fuehrt keinen Fehlversuchszaehler je Konto, und die einzige Ratenbremse haengt an `req.ip`, das wegen `trust proxy` dem selbst gesetzten `X-Forwarded-For` entspricht; der zweite Faktor faellt damit ungebremst6.8 · Mittel
- Rapid7 VelociraptorCVE-2026-85737Beliebiges Lesen von Serverdateien durch niedrig privilegierten Analysten über ungated `sql()`-VQL-Plugin (keine Berechtigungsprüfung, CA-Privatschlüssel offengelegt)6.5 · Mittel
- Easy!Appointmentsnicht beantragtDer Passwort-Reset-Link wird aus dem `Host`-Header gebaut, ein anonymer Angreifer lenkt ihn auf seinen Server und übernimmt nach einem Klick des Opfers das Administratorkonto7.5 · Hoch
- WazuhCVE-2026-74034Ein ohne Passwort angemeldeter Agent schleust einen `upgrade_custom`-Befehl in den Upgrade-Socket des Managers und laesst sich jede Datei des Hosts als root ausliefern (keine Herkunftspruefung, keine Pfadgrenze)7.5 · Hoch